Sicherheitspatch Bearbeitungsrechte DBFORMS

1. In SuperX konnten angemeldete Benutzer mit einem Sachgebietsrecht, dessen Bezeichnung mit „Bearbeitung“ oder „Administration“ begann, Berichtsmasken konfigurieren und dabei beliebige SQL-Statements auf der BI-Datenbank ausführen.
2. Wenn ein angemeldeter BI-Administrator parallel eine nicht vertrauenswürdige Webseite aufruft, konnte diese SQL-Befehle auf der BI-Datenbank ausführen. (CSRF in Verbindung mit SQL-Injection).

Der Patch behebt beide Schwachstellen:

1. Bearbeitungsformulare lassen sich von Nicht-Admins nur öffnen, wenn sie explizite Rechte auf das jew. Administrations-Sachgebiet haben.
2. Die Möglichkeit zur SQL-Injection wurde entfernt.

Korrektur Rechteprüfung DBFORMS Anzeige Hochschul-Repository nur für Impressumg und Datenschutz-Seite Neue Fächergruppen im Bereich Studierende Neue Fächergruppen im Bereich Personal